… mas diz que não é nada de especial!
O serviço cloud Dropbox dá uma “vista de olhos” aos ficheiros que os utilizadores colocam nos seus servidores. Mas dizem que isso é normal nos serviços de alojamento Web.
Esta descoberta foi feita após um teste que registou vários ficheiros “.doc” com data de abertura após a data de envio para a cloud.
O comportamento do Dropbox foi detectado usando um outro serviço, o HoneyDocs. Este serviço Web-based cria um log mostrando quando e onde um documento é aberto, isto segundo informações deixadas no WNC InfoSec.
A experiência teve como mecânica o upload para o DropBox de um ficheiro “.zip” para a pasta HoneyDocs que por sua vez tinha dentro ficheiros “.doc”. O serviço HoneyDocs permite aos utilizadores criar um “visto”, ou uma notificação que é enviada por SMS ou um e-mail quando um ficheiro é visto. Essa informação de onde foi visto, fica colocado num mapa, para dar uma ideia de onde usamos os nossos ficheiros que estão na cloud.
A resposta ou retorno da informação, que o HoneyDocs apelida de “buzz”, um pedido HTTP GET que tem um identificador único ligado a um único registo ou ao tal “visto” aplicado quando o ficheiro é aberto. Os dados que dão conta de quando ou onde os ficheiros foram abertos são enviados ao utilizador pelo porto SSL 443, de acordo com o HoneyDocs.
Escreve o blog que o primeiro “buzz” chegou 10 minutos após o ficheiro ter sido colocado no Dropbox com um IP address de uma instância Amazon EC2 de Seattle. O Dropbox usa infra-estruturas cloud Amazon.
A mesma fonte informa que somente os ficheiros “. doc” foram abertos, dos vários formatos também incluídos no “.zip”. Outro dado curioso foi que o HoneyDocs também tirou informações sobre o tipo de aplicação que teve acesso ao documento, que neste caso foi a suite de código aberto LibreOffice.
Estas coisas deixam-nos com a pulga atrás da orelha
Mas então vejamos – e esta dúvida tem razão de o ser – se os ficheiros abertos são para protecção de não duplicação ou mesmo de não proliferação de possível malware… então e os outros, para além dos “.doc”?
A explicação é simples. O que o blog WNC InfoSec presenciou, ao usar a ferramenta HoneyDocs, foi um comportamento automático que o serviço Dropbox tem a correr em segundo plano que executa esta análise em certos tipo de ficheiros. Segundo um porta voz do Dropbox, o serviço permite aos utilizadores pré-visualizar os seus documentos, os “.doc” estão entre esses casos, mas para isso ser possível o serviço tem de construir a pré-visualização desses documentos. Para executar essa pré-visualização o documento tem de ser aberto.
De acordo com o Dropbox, os ficheiros que podem ser pré-visualizados são os do Word, PowerPoint, PDF e ficheiros de texto. Estes podem ser visto directamente do browser, sem que seja necessário ter qualquer aplicação na máquina para os abrir.
Mesmo assim, este comportamento pode deixar alguns utilizadores nervosos. Os especialistas em segurança recomendam que para uma maior privacidade, os documentos enviados para os serviços cloud devam ser cifrados, de forma a que não possam ser abertos, nem por sistemas automáticos nem pelos funcionários dos próprios serviços.
O Dropbox proíbe terminantemente os seus funcionários de “olhar” para os conteúdos e somente um número muito restrito destes funcionários, com suporte técnico a seu cargo, tem acesso aos metadados e ao autor dos ficheiros, em casos muito extremos.
Como pode ser lido na política de privacidade:
“We have strict policy and technical access controls that prohibit employee access except in these rare circumstances,”
Estes procedimentos devem ser muito bem esclarecidos, pois a desconfiança pode contaminar todo um sistema, e no caso da cloud, o seu maior trunfo é a confiança e segurança.